一种基于云计算的融合身份保护系统及方法
【专利摘要】本发明公开了一种基于云计算的融合身份保护系统及方法，以实现云计算环境下贯通公有云以及私有云架构的网络身份安全的有效保护。本发明采用云计算特有的分布式集群管理，将无限多的现有以及未知的强身份认证手段通过统一的标准接口融合在一起，向用户提供单一入口的认证界面，并由用户根据其即时需求自主选择不同的安全层级的认证手段。此外，本发明还将生物识别技术以及数字认证技术内置于安全云终端，保护云计算平台以及用户客户端桌面免受非法控制机入侵。
【专利说明】一种基于云计算的融合身份保护系统及方法
【技术领域】
[0001] 本发明涉及一种基于云技术的身份认证系统及方法，属于云安全操作系统领域。
【背景技术】
[0002] 随着云计算技术的逐渐完善和产业链的逐步形成，云安全操作系统在国民经济社 会各行业的需求将快速增长。云安全操作系统本身是一个虚拟化的云平台，所有的数据及 应用都存储在云端，云端与用户之间通过加密通道建立通信连接，从而实现数据的访问和 控制，通过这种隔离体制，保证了数据存储的安全性，不会因为用户终端的故障而导致数据 的丢失。然而，同时由于云具有离散、无序的特点，因此存在极高的安全隐患风险，用户的身 份信息容易被泄露，解决这一问题的基本方式便是通过身份认证技术来对用户身份信息进 行保护。
[0003] 身份认证分为用户与主机之间的认证和主机与主机之间的认证两个基本类。现 有的身份认证系统中，在进行用户身份认证时，主要通过基于生理学或者行为特征、基于知 识、基于令牌的三种基本方法来确定身份；其中，基于生理学或者行为特征的方法主要通过 人生来具有的生物特征或者行为特征来进行身份认证，即生物认证；基于知识的方法主要 通过口令或者PIN码来进行身份认证，包括静态和动态两种方式；基于令牌的方法主要是 通过用户所拥有的身份证件来进行身份认证。目前常用的身份认证机制主要为基于静态口 令的方法，身份认证系统为每个用户维护一个二元组信息，用户在登陆系统时通过输入其 ID和口令，系统将输入的信息和自己维护的信息进行匹配，从而判别用户的合法性。
[0004] 现有的身份认证系统操作方便简单，但现有的身份认证系统主要为单因素认证方 式，安全性主要依赖于数字证书、密码或者令牌的复杂度，容易受到丢失、遗忘、误置、冒名 等不利因素的制约，存在极高的安全隐患风险。
【发明内容】
[0005] 为了解决上述问题，本发明提供了一种基于云计算的融合身份保护系统及方法， 具体技术方案如下：
[0006] -种基于云计算的融合身份保护系统，包括安全云终端、身份认证服务器、云虚拟 机服务器集群，其中，
[0007] 安全z?终端接口王板上集成包括UPEK指纹识别系统在内的生物鉴别设备，还集 成有数字证书1C模块，支持PKI认证、数字签名、数据加密等安全应用；主板硬件层面具备 可控WiFi、USB接口、光纤光电转换器"启动/停用"状态的可控制信号输入输出接口，支持 光纤到安全云终端的直接接入，杜绝普通以太网及无线网络隐含的数据信息泄露威胁。
[0008] 身份认证服务器负责实现对用户身份的认证；
[0009] 云虚拟机服务器集群负责实现身份认证操作的鉴权、身份认证结果的核定、身份 认证方式更新的监控和管理。
[0010] 进一步，本发明的安全云终端部署与身份认证服务器以及云虚拟机管理服务器对 接的接口软件；安全云终端自动支持公有云以及私有云的不同网络架构；云终端内置有硬 件真随机数发生器；
[0011] 进一步，安全云终端与身份认证服务器以及云虚拟机服务器之间部署支持RSA、 ECC公钥算法引擎，支持RSA、ECC等算法等标准商密，并且支持DES、3DES、AES算法数据加 解密等普密加密算法模块对传输数据进行隔离保护，有效阻止恶意攻击，并防止用户敏感 信息泄露。
[0012] 进一步，信息的传输米用HTTPS/SSL安全传输通道，保证信息在传输中的安全，同 时，对通信内容进行加密和散列，保证信息内容的安全。
[0013] 进一步，身份认证标识以列表的形式存储在安全云终端、身份认证服务器和云虚 拟机服务器集群中。
[0014] 本发明中，云虚拟机服务器集群端可自动返回执行结果给身份认证服务器，增强 事后审计能力。云虚拟机服务器集群可提供完善的日志记录功能，记录内容包括登陆时间、 登陆用户身份、登陆的虚拟机系统、登陆时使用的终端IP地址。
[0015] 一种基于云计算的融合身份保护方法，包括如下步骤：
[0016] 用户请求身份认证：用户通过安全云终端输入用户身份信息，选择具体的身份认 证方式，安全云终端将用户的即时身份认证请求信息自动加密，并通过安全传输通道将身 份认证方式标识和用户身份信息数据传递至云虚拟机服务器集群端。
[0017] 云虚拟机服务器集群对身份认证的鉴权：云虚拟机服务器集群接收到用户身份认 证请求后，通过鉴权服务器对用户身份认证操作涉及的安全云终端和身份认证服务器进行 鉴权，具体包括：获取用户身份认证操作涉及的安全云终端和身份认证服务器信息，核对安 全云终端是否有权发起身份认证操作，核对所请求的认证服务器的合法性和适配性；鉴权 通过后，云虚拟机服务器集群把用户身份认证请求消息写入服务器集群中的消息管理服务 器，并向相应的安全云终端和身份认证服务器发送身份认证确认消息，把鉴权结果送至安 全云终端和身份认证服务器。如果有安全云终端未通过合法性验证，则云虚拟机服务器集 群中的数据存储服务器记录未通过鉴权的安全云终端号码和错误原因，并直接向该安全云 终端发送鉴权失败消息。
[0018] 认证服务器侧的用户身份认证：身份认证服务器根据接收到的用户身份认证请 求消息，依据安全云终端侧用户选择的认证方式标识适配相应的认证机制进行身份认证操 作，并将身份认证结果传送到云虚拟机。
[0019] 云虚拟机服务器集群侧对用户身份认证的核定：云虚拟机在接收到身份认证服务 器对用户身份的认证结果后，将其与服务器集群中的数据存储服务器中备份的用户身份信 息标识进行匹配，对已认证的用户身份进行二次核定。如果身份核定成功，则将身份认证结 果发送到安全云终端，如果核定不成功，则将核定错误的原因返回到身份认证服务器，对用 户身份进行重新认证，直到确定用户的身份信息为止。
[0020] 云虚拟机服务器集群中数据存储服务器中备份的用户身份信息标识是由身份认 证服务器的ID和用户身份信息的镜像组成的，即云虚拟机服务器集群数据库中备份了用 户的多维身份数据信息以及与不同认证请求方式相匹配的身份认证服务器的ID号。
[0021] 进一步，合法性鉴权包括：核对用户身份认证操作涉及的安全云终端是否有权发 起身份认证操作；核对用户身份认证操作涉及的身份认证服务器是否可以进行身份认证操 作。适配性鉴权包括：核对要认证的用户身份是否属于该认证服务器的认证服务范畴；核 对安全云终端发起的用户身份认证方式是否属于该服务器的认证服务范畴。如果有身份认 证服务器未通过合法性验证，则云虚拟机服务器发起警报，告知该身份服务器可能为恶意 服务器。
[0022] 进一步，本发明还包括用户身份认证方式更新升级的步骤，具体包括：
[0023] 安全云终端侧身份认证方式更新：包括现有用户认证方式的升级和添加新的用户 认证方式。现有认证方式的升级可通过USB进行本地升级和云平台向安全云终端发送升级 指令和升级数据包进行远程升级；添加新的用户认证方式包括添加新的生物认证传感器设 备和添加新的数字证书1C模块。安全云终端侧身份认证方式更新完成后，将新的用户认证 方式信息发送到云虚拟机。
[0024] 云虚拟机服务器集群侧更新升级：云虚拟机接收到安全云终端发送的更新身份认 证方式操作后，将其与服务器集群中的数据存储服务器的认证方式进行匹配，如果数据存 储服务器中存在该种形式的认证方式，则不更新身份认证标识；如果不存在该种形式的认 证方式，则赋予一个新的身份认证标识，并将新的身份认证标识发送到安全云终端，更新安 全云终端中的身份认证标识。同时，云虚拟机服务器集群中的消息管理服务器将该种身份 认证方式的更新请求发送至云平台，经云平台管理员返回确认消息后再进行更新操作。
[0025] 云虚拟机服务器集群在完成更新升级操作以后，会将新更新升级的用户身份认证 方式与其数据存储服务器中存储的身份认证服务器的ID进行比对，如果存在该种身份认 证的服务器，则将更新升级请求和新的身份认证标识发送到相应ID的身份认证服务器，如 果不存在该种身份认证的服务器，则将更新升级请求发送到云平台管理员，发送部署新身 份认证服务器请求。
[0026] 身份认证服务器更新升级：依据云虚拟机服务器集群侧更新升级步骤中云虚拟机 服务器集群中的比对结果，当不存在与新更新升级的身份认证方式相匹配的身份认证服务 器时，部署新的身份认证服务器，并将新的身份认证服务器的ID号发送到云虚拟机；当存 在与新更新升级的身份认证方式相匹配的身份认证服务器时，云虚拟机将需更新升级请求 发送到相应ID号的身份认证服务器，身份认证服务器接收到更新升级请求信息后向云虚 拟机服务器集群发送确认消息，云虚拟机服务器集群再向身份认证服务器发送新的身份认 证标识和更新数据包，身份认证服务器进行更新升级操作。
[0027] 新升级身份认证方式的测试：身份认证服务器在完成更新升级操作后，向云虚拟 机服务器集群发送更新完毕确认信息，云虚拟机服务器集群向云平台管理员发送测试请 求。云平台管理员依据前述的用户请求身份认证、云虚拟机服务器集群对身份认证的鉴权、 认证服务器侧的用户身份认证、云虚拟机服务器集群侧对用户身份认证的核定步骤对新更 新升级的身份认证方式进行测试操作。如果测试不通过，则重复上述用户身份认证方式更 新升级的步骤，直到测试通过，如果测试通过，更新升级操作完成。
[0028] 进一步，云虚拟机服务器集群在对自身的认证方式进行更新之前，会对将更新的 身份认证方式进行安全评估，判断新的身份认证方式的安全级别，然后再根据其安全级别 进行相应的升级操作。
[0029] 本发明采用云计算特有的分布式集群管理，将无限多的现有以及未知的强身份认 证手段通过统一的标准接口融合在一起，向用户提供单一入口的认证界面，并由用户根据 其即时需求自主选择不同的安全层级的认证手段，实现云计算环境下贯通公有云以及私有 云架构的网络身份安全的有效保护。此外，本发明还将生物识别技术以及数字认证技术内 置于安全云终端，提供包括用户登录名称、登录ID号码、生物信息、数字密钥在内的多因子 高强度的身份虚拟化认证、结合角色的基于类型的访问控制、细粒度的安全审计等多项安 全功能，保护云计算平台以及用户客户端桌面免受非法控制机入侵。本发明中，用户身份认 证系统采用多种安全认证与防护设施通过统一的策略集合在低功耗、微体积的安全云终端 上，使得安全云终端的数据以及用户信息得到有效的保护。
【专利附图】
【附图说明】
[0030] 图1是基于云计算的融合身份保护系统的架构图。
[0031] 图2是用户身份认证操作的基本流程图。
[0032] 图3是用户身份认证方式更新升级的基本流程图。
【具体实施方式】
[0033] 下面结合附图和实施例对本发明作进一步详细说明。
[0034] 基于云计算的融合身份保护系统的架构如图1所示，系统包括安全云终端、身份 认证服务器、云虚拟机服务器集群。内置指纹仪和内置数字证书可实现用户身份认证的输 入请求；可控WiFi、可控光纤模块可实现用户身份认证请求信息和身份认证方式更新信息 的加密传输；可控USB接口可实现安全云终端存储数据的下载和身份认证方式的本地升级 服务；身份认证服务器可实现对用户身份的认证；云虚拟机服务器集群可实现身份认证操 作的鉴权、身份认证结果的核定、身份认证方式更新的监控和管理。
[0035] 本发明中，身份认证支持现有以及未知的各种强身份认证手段的集成，身份认证 方式可根据实际情况进行选择和更新升级。每种身份认证方式采用独特的用户身份认证方 式标识做区分，身份认证方式在消息中用8个比特位进行标识，并且身份认证标识以列表 的形式存储在安全云终端、身份认证服务器和云虚拟机服务器集群中，以保证用户身份认 证的可操作性和扩展性。具体的标识示例如下表所示。
[0036] 表1.身份认证方式标识示例
【权利要求】
1. 一种基于云计算的融合身份保护系统，其特征在于，包括安全云终端、身份认证服务 器、云虚拟机服务器集群，其中 ： 所述安全云终端接口主板上集成生物鉴别设备、数字证书IC模块，主板硬件层面具备 可控WiFi、USB接口、可控制信号输入输出接口，支持光纤到安全云终端的直接接入； 身份认证服务器负责实现对用户身份的认证； 云虚拟机服务器集群负责实现身份认证操作的鉴权、身份认证结果的核定、身份认证 方式更新的监控和管理。
2. 根据权利要求1所述的系统，其特征是所述安全云终端部署与身份认证服务器以及 云虚拟机服务器对接的接口软件；云终端内置有硬件真随机数发生器。
3. 根据权利要求1或2所述的系统，其特征是，所述安全云终端与身份认证服务器以及 云虚拟机服务器之间部署支持RSA、ECC公钥算法引擎。
4. 根据权利要求1所述的系统，其特征是，信息的传输采用HTTPS/SSL安全传输通道， 并对通信内容进行加密和散列。
5. 根据权利要求1或2或4所述的系统，其特征是，身份认证标识以列表的形式存储在 安全云终端、身份认证服务器和云虚拟机服务器集群中。
6. -种基于云计算的融合身份保护方法，其特征是，包括如下步骤： 用户请求身份认证：用户通过安全云终端输入用户身份信息，选择身份认证方式； 云虚拟机服务器集群对身份认证的鉴权：云虚拟机服务器集群通过鉴权服务器对用户 身份认证操作涉及的安全云终端和身份认证服务器进行鉴权；云虚拟机服务器集群根据身 份认证方式标识选择相应的身份认证服务器，并向其发起身份认证请求消息； 认证服务器侧的用户身份认证：身份认证服务器根据云虚拟机服务器集群发送的用户 身份信息数据包对用户的身份信息进行认证，并将身份认证结果返回到云虚拟机服务器集 群进行身份核定操作； 云虚拟机服务器集群侧对用户身份认证的核定：调用身份核定服务器对已认证的用户 身份进行二次核定，将核定结果发送至安全云终端。
7. 根据权利要求6所述的方法，其特征是，所述鉴权具体包括：获取用户身份认证操作 涉及的安全云终端和身份认证服务器信息，核对安全云终端是否有权发起身份认证操作， 核对所请求的认证服务器的合法性和适配性； 如果有安全云终端未通过合法性验证，则云虚拟机服务器集群中的数据存储服务器记 录未通过鉴权的安全云终端号码和错误原因，并直接向该安全云终端发送鉴权失败消息。
8. 根据权利要求7所述的方法，其特征是，所述合法性鉴权包括：核对用户身份认证操 作涉及的安全云终端是否有权发起身份认证操作，核对用户身份认证操作涉及的身份认证 服务器是否可以进行身份认证操作；所述适配性鉴权包括：核对要认证的用户身份是否属 于该认证服务器的认证服务范畴，核对安全云终端发起的用户身份认证方式是否属于该认 证服务器的认证服务范畴。
9. 根据权利要求6到8中任意一项所述的方法，其特征是，还包括用户身份认证方式更 新升级的步骤，具体包括： 安全云终端侧身份认证方式更新：包括现有用户认证方式的升级和添加新的用户认 证方式，安全云终端侧身份认证方式更新完成后，将新的用户认证方式信息发送到云虚拟 机； 云虚拟机服务器集群侧更新升级：云虚拟机将更新身份认证方式的操作与已有的认证 方式进行匹配，将新形式的认证方式赋予一个新的身份认证标识，同时更新安全云终端中 的身份认证标识； 身份认证服务器更新升级：依据云虚拟机服务器集群侧更新升级步骤，决定是否部署 新的身份认证服务器，并将新的身份认证服务器的ID号发送到云虚拟机； 新升级身份认证方式的测试：身份认证服务器在完成更新升级操作后，云平台管理员 依据前述的用户请求身份认证、云虚拟机服务器集群对身份认证的鉴权、认证服务器侧的 用户身份认证、云虚拟机服务器集群侧对用户身份认证的核定步骤对新更新升级的身份认 证方式进行测试操作。
10.根据权利要求9所述的方法，其特征是，所述云虚拟机服务器集群在对自身的认证 方式进行更新之前，对将要进行更新的身份认证方式进行安全评估，判断新的身份认证方 式的安全级别，然后再根据其安全级别进行相应的升级操作。
【文档编号】H04L9/32GK104320389SQ201410536876
【公开日】2015年1月28日 申请日期:2014年10月11日 优先权日:2014年10月11日
【发明者】何利文, 李 杰, 陈向东, 鲁蔚锋, 孔令军, 沙乐天, 黄 俊 申请人:南京邮电大学